Въпрос за Сесии

[macmen]

Здравейте имам следния въпрос. Как може да защитим сесиите си или още по ясно да го кажа как да направим една login система много сигурна.

Благодаря предварително за отговорите!

 

[fury]

Сесията неможе да я защитиш, има проверки с която да я проверяваш и т.н. В сесията просто записваш някаква информация изпратена от браузъра на потребителя...

- Проверяваш дали съществува сесията.

if (!isset($_SESSION['username']))
{
echo "nqma syzdadena sesiq username.";
}

- При изпращане на потребителско име и парола през логин формата ти, може да ги минаваш с addslashes и htmlspecialchars

$login_username = addslashes(htmlspecialchars($_POST['username']));
$login_password = addslashes(htmlspecialchars($_POST['password']));

След като си минал потребителското име и паролата с 2-те функций, проверяваш дали са намерени потребители с това име и с тази парола и така ...


За друго в момента не мога да се сетя... Поразрови се из гугъл 100% ще намериш нещо

 

[macmen]

бях срешнал някъде че сесията се записва в база данни това за каква цел е и някъде също бях срешнал че сесията се защитавала , но може да бъркам.

иначе тези защити ги знам както и xss защитата

 

[fury]

Сесията се записва в браузъра на потребителя, не в базата данни

Edit: Иначе можеш да си направиш конструктор с който да кракваш паролата на потребителя и да я записваш в базата данни, тъй като ако ти хакнат базата данни могат да видят всичките пароли ако си ги кракнал само с md5 функцията.

 

[macmen]

session_id(); е за това

 

[bgspace]

@fury - сесията не се записва в браузъра на потребителя.
Относно защитите на сесиите, да не бъде открдната дандена сесия има няколко подхода. Най - сигурния е да се използва https , след това да се създва сесийна бизквитка защото при нея атаките за разбиването са по трудни.
@macmen - наистина може да се записва информацията от сесията в база от данни но това не е с цел сигурност, а примерно даден потребител е гледал някакъв каталог за дрехи и в сайта има поседно гледани продукти . Тези продукти са в сесията и след напускате те се запсиват в база от данни. Това се прави с цел да не се съдават таблици за всяко едно нещо защото става голям обеме и се приема 4е тази информация може да се съхранява в сесията с сериализаирн вид.

 

[macmen]

можеш ли да ми даде малко четива за https, иначе благодаря за информацията, я ми бе много полезна